如何为CDK Pipelines的ShellStep添加cloudfront:CreateInvalidation权限

你之前将权限添加到pipeline层级的做法不正确，因为CDK Pipelines的ShellStep是通过CodeBuild项目执行的，权限应该赋予该CodeBuild项目的执行角色，而非整个CodePipeline的角色。以下是正确的操作方式：

核心思路 #

ShellStep本身是一个抽象步骤，背后对应AWS CodeBuild项目。我们需要获取该CodeBuild项目的IAM角色，然后为其添加CloudFront创建失效的权限。

修正后的代码示例 #

var step = new ShellStep("invalidate-cloudfront", new ShellStepProps
{
    EnvFromCfnOutputs = new Dictionary<string, CfnOutput>
    {
        { "DistributionId", stage.DistributionId },
    },
    Commands = new[] { "aws cloudfront create-invalidation --distribution-id ${DistributionId} --paths \"/*\"" },
});

pipeline.AddStage(stage, new AddStageOpts
{
    Post = new[] { step },
});

// 获取ShellStep对应的CodeBuild项目角色，并添加权限
var codeBuildRole = step.CodeBuildProject.Role;
if (codeBuildRole != null)
{
    var distributionArn = $"arn:aws:cloudfront::{Account}:distribution/{stage.DistributionId}";
    codeBuildRole.AddToPrincipalPolicy(new PolicyStatement(new PolicyStatementProps
    {
        Actions = new[] { "cloudfront:CreateInvalidation" },
        Resources = new[] { distributionArn },
    }));
}

// 无需手动调用BuildPipeline，CDK会自动处理资源生成

更简洁的CDK最佳实践方式 #

如果你在Stage中持有CloudFrontDistribution的实例（而非仅持有输出的DistributionId），可以直接使用CDK的Grant API来简化权限配置，无需手动构造ARN和策略：

// 假设stage中存在CloudFrontDistribution实例：var distribution = new CloudFrontDistribution(...);
var codeBuildRole = step.CodeBuildProject.Role;
if (codeBuildRole != null)
{
    distribution.GrantCreateInvalidation(codeBuildRole);
}

为什么之前的方法无效 #

你之前操作的pipeline.Pipeline是底层的AWS CodePipeline资源，它的IAM角色用于CodePipeline自身的流程控制（比如触发阶段、调用各个Action），并不负责执行ShellStep中的命令——ShellStep的命令是由独立的CodeBuild项目执行的，因此权限需要赋予该CodeBuild的角色。

内容的提问来源于stack exchange，提问作者GenePADI